Avira – Une vulnérabilité met en danger les sauvegardes des utilisateurs

1
119

Le logiciel antivirus populaire Avira fournit gratuitement à ses utilisateurs un service de sauvegarde sécurisé en ligne. Mais il s’avère être vulnérable, ce qui pourrait permettre à un attaquant d’accéder aux comptes utilisateurs et de mettre la main sur leurs précieuses données.

Avira est très populaire pour son logiciel de sécurité gratuit qui est fournit avec son propre module de protection en temps réel contre les logiciels malveillants et un service de sauvegarde sécurisé. Avira a été considéré comme le sixième plus grand fournisseur d’antivirus en 2012 avec plus de 100 millions de clients à travers le monde.

A 16 ans, le chercheur en sécurité égyptien Mazen Gamal a découvert que le site Web d’Avira est vulnérable aux attaques de type CSRF qui permet de détourner les comptes et l’accès des utilisateurs afin d’accéder à leurs fichiers de sauvegarde dans le cloud sécurisé en ligne.

Les CSRF ou XSRF sont une méthode d’attaque de site Web permettant à un intrus de se faire passer pour un utilisateur légitime et digne de confiance. “Fondamentalement, un attaquant utilisera CSRF pour tromper une victime via un lien URL qui contient les requêtes malveillantes qui remplacera l’ID de la victime par ID de l’attaquant, ce qui compromet le compte de la victime en un seul clic, explique Gamal.

Après le remplacement de l’adresse de courrier électronique dans les requêtes HTTP, un attaquant peut facilement réinitialiser le mot de passe du compte de la victime via la fonction mot de passe oublié, puisque le lien de réinitialisation sera alors envoyé uniquement sur le mail de l’attaquant. Une fois le compte détourné, l’attaquant serait en mesure de récupérer tous les fichiers de sauvegarde en ligne de la victime présents sur son compte AVIRA en utilisant simplement les mêmes informations d’identification pour vous connecter au logiciel de sauvegarde en ligne de l’utilisateur ou à l’adresse https://dav.backup.avira. com/.

Gamal déclare que cela permet un accès total au compte utilisateur. Il a pu avoir accès à l’ensemble des données utilisateur, ainsi qu’aux numéros de série et licences des logiciels. Gamal a également fourni une preuve vidéo qui explique l’histoire :

http://www.youtube.com/watch?v=gOPBqvcYhi0

Gamal a rapporté la faille à l’équipe de sécurité Avira le 21 août. L’équipe a répondu positivement et a corrigé le bug CSRF sur leur site web. Mais il reste néanmoins dommage qu’Avira ne propose pas une authentification forte à ses utilisateurs !

Mazen Gamal est déjà connu par un certain nombre d’entreprises de haute technologie pour ses rapports de sécurité, y compris Google, Facebook et Twitter, auxquelles il a signalé plusieurs vulnérabilités dans le passé.

Les commentaires sont fermés.